Worm/Rbot.79276 - Worm

A voir aussi

Brève description

Description complète

Statistiques

Nom:	Worm/Rbot.79276
La date de la découverte:	23/08/2006
Type:	Ver
En circulation:	Oui
Infections signalées	Faible
Potentiel de distribution:	Moyen
Potentiel de destruction:	Moyen
Fichier statique:	Oui
Taille du fichier:	79.276 Octets
Somme de contrôle MD5:	a66a969b052de2b603184509c95182c2
Version VDF:	6.35.01.126
Version IVDF:	6.35.01.129

Général Méthode de propagation:
   • Le réseau local

Les alias:
   • Kaspersky: Backdoor.Win32.SdBot.awk
   • Sophos: W32/Rbot-BJV
   • VirusBuster: Worm.RBot.FQF
   • Eset: IRC/SdBot
   • Bitdefender: Backdoor.SdBot.AWK

Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Il modifie des registres
   • Il emploie les vulnérabilités de software
   • Il vole de l'information
   • Il facilite l'accès non autorisé à l'ordinateur

Fichiers Il s'autocopie dans l'emplacement suivant:
• %SYSDIR%\winsystems.exe

Il supprime sa propre copie, exécutée initialement

Registre Les clés de registre suivantes sont ajoutées afin d'exécuter des processus après le redémarrage:

– [HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
   • winsystems25="winsystems.exe"

– [HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices]
   • winsystems25="winsystems.exe"

Les clés de registre suivantes sont changées:

– [HKLM\SOFTWARE\Microsoft\Ole]
   L'ancienne valeur:
   • EnableDCOM=%réglages définis par l'utilisateur%
   La nouvelle valeur:
   • EnableDCOM="N"

– [HKLM\SYSTEM\ControlSet001\Control\Lsa]
   L'ancienne valeur:
   • restrictanonymous=%réglages définis par l'utilisateur%
     restrictanonymoussam=%réglages définis par l'utilisateur%
   La nouvelle valeur:
   • restrictanonymous=dword:00000001
     restrictanonymoussam=dword:00000001

Infection du réseau Afin de assurer sa propagation, le malware essaye de se connecter à d'autres machines comme décrit ci-dessous.

Il s'autocopie dans les partages réseau suivants:
   • IPC$
   • C$
   • D$
   • ADMIN$

Il emploie les informations d'identification suivantes afin de gagner accès à la machine distante:

– Une liste de noms d'utilisateurs et de mots de passe:
   • administrator; administrador; administrateur; administrat; admins;
      admin; staff; root; computer; owner; student; teacher; wwwadmin;
      guest; default; database; dba; oracle; db2; administrator;
      administrador; administrateur; administrat; admins; admin; adm;
      password1; password; passwd; pass1234; pass; pwd; 007; 71; 12; 123;
      1234; 12345; 123456; 1234567; 12345678; 123456789; 1234567890; 2000;
      2001; 2002; 2003; 2004; test; guest; none; demo; unix; linux;
      changeme; default; system; server; root; null; qwerty; mail; outlook;
      web; www; internet; accounts; accounting; home; homeuser; user; oem;
      oemuser; oeminstall; windows; win98; win2k; winxp; winnt; win2000;
      qaz; asd; zxc; qwe; bob; jen; joe; fred; bill; mike; john; peter;
      luke; sam; sue; susan; peter; brian; lee; neil; ian; chris; eric;
      george; kate; bob; katie; mary; login; loginpass; technical; backup;
      exchange; fuck; bitch; slut; sex; god; hell; hello; domain;
      domainpass; domainpassword; database; access; dbpass; dbpassword;
      databasepass; data; databasepassword; db1; db2; db1234; sa; sql;
      sqlpassoainstall; orainstall; oracle; ibm; cisco; dell; compaq;
      siemens; hp; nokia; xp; control; office; blank; winpass; main; lan;
      internet; intranet; student; teacher; staff

La vulnérabilité:
Il se sert des vulnérabilités suivantes:
– MS03-026 (Buffer Overrun in RPC Interface)
– MS03-039 (Buffer Overrun in RPCSS Service)
– MS03-049 (Buffer Overrun in the Workstation Service)
– MS04-007 (ASN.1 Vulnerability)
– MS04-011 (LSASS Vulnerability)

La création des adresses IP:
Il crée des adresses IP aléatoires tandis qu'il garde les deux premiers octets de sa propre adresse. Après il essaye d'établir une connexion avec les adresses créées.

Le processus d'infection:
Crée un script TFTP ou FTP sur la machine compromise afin de télécharger le malware vers l'emplacement distant.

Exécution à distance:
–Il essaye de programmer une exécution à distance du malware, sur la machine nouvellement infectée. Par conséquent il emploie la fonction NetScheduleJobAdd.

IRC Afin de fournir des informations sur le système et un accès à distance, il se connecte au serveur IRC suivant:

Serveur: boughtem.nowslate1703.**********
Port: 22430
Canal: #ploit #ploit2
Pseudonyme: USA|%chaîne de caractères aléatoire de six digits%
Mot de passe: he he

– Ce Malware a la capacité de ramasser et d'envoyer des informations tel que:
    • Vitesse du CPU
    • Utilisateur courant
    • Détails sur les pilots
    • Espace libre sur le disque dur
    • Mémoire libre
    • Le temps de fonctionnement du Malware
    • Information sur le réseau
    • Information sur des processus courants
    • Répertoire de système
    • Nom d'utilisateur
    • Information sur le système d'exploitation Windows

– Ensuite il a la capacité d'opérer des actions tel que:
    • se connecter au serveur IRC
    • Lancer des attaques DDoS SYN
    • Désactiver DCOM
    • Désactiver les partages réseau
    • se déconnecter du serveur IRC
    • Télécharger un fichier
    • Activer DCOM
    • Activer les partages réseau
    • Joindre le canal IRC
    • Finir le processus
    • Quitter la canal IRC
    • Ouvrir une ligne de commande à distance
    • Scanner le réseau
    • Redémarrer le système
    • Se mettre à jour tout seul
    • Charger un fichier

Informations divers Mutex:
Il crée le Mutex suivant:
• ploit1

Détails de fichier Langage de programmation:
Le fichier a été écrit en MS Visual C++.

Logiciel de compression des fichiers exécutables:
Afin d'entraver la détection et de réduire la taille du fichier il est compressé avec un logiciel de compression des exécutables.

Voir la description brève ici.

Description inséré par Ana Maria Niculescu sur Fri, 23 Nov 2007 12:22 (GMT+1)
Description mise à jour par Andrei Gherman sur Mon, 26 Nov 2007 09:06 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour